Du VPN-pordegoj sinsekve: kion ĉiu vere decidas
Du VPN-etapoj sinsekve devus signifi du apartajn permesdecidojn. Nomu, kion ĉiu pordego kontrolas, poste testu, kion la interna rifuzas.
Ĉenado de du VPN-oj kutime estas vendata kiel plia ĉifrado, kio estas la malplej interesa afero, kiun ĝi faras. La vera produkto estas dua rajtiga decido, farita de alia posedanto pri alia aro de rimedoj. Se ambaŭ etapoj akceptas la saman legitimilon kaj atingas la samajn celojn, la interna pordego estas ornamaĵo kun plia latento. Decidi, ĉu tiu dua decido valoras sian funkcian koston, komenciĝas per nomado de tio, kion ĉiu pordego vere kontrolas.
Unu tunelo, poste dua decido
La ekstera pordego respondas al vasta demando: ĉu ĉi tio estas aprobita dungita aparato, kaj ĉu ĝi rajtas atingi la ĝeneralan internan reton. La interna pordego respondas al pli mallarĝa: ĉu ĉi tiu identeco portas la prizorgan rajtigon, kaj ĉu ĝi rajtas atingi ĉi tiujn specifajn administrajn finpunktojn. Tiuj estas malsamaj demandoj kun malsamaj posedantoj, kaj nek unu implicas la alian. Ekzisto de vojo tra ambaŭ etapoj ne estas rajtigo uzi tion, kio staras malantaŭ la dua. Atingi la malproksiman enirejon pruvas, ke vojo funkcias, kaj nenion pli.
La principo estas malnova kaj ankoraŭ ignorata: reta loko mem ne argumentas por io ajn. Resumo de la nula-fida arkitekturo de NIST diras tion klare, rifuzante implicitan fidon, kiu sekvas el tio, de kie konekto venis aŭ kiu posedas la reton. Aplikite ĉi tie, alveno al la interna enirejo estas antaŭkondiĉo por ĝiaj rimedoj, neniam la permeso uzi ilin.
Skribu, kion ĉiu pordego kontrolas
Por ĉiu etapo registru la identecon, kiun ĝi kontrolas, la celojn, kiujn ĝi permesas, kaj la kondiĉojn, sub kiuj ĝi povas esti preterpasita. La ekstera pordego rajtas laŭleĝe permesi ordinarajn internajn servojn plus la aŭskultanton de la interna pordego, kaj nenion alian. La interna pordego povas postuli rolan aserton kaj permesi nur la administrajn adresojn nomitajn en la ŝanĝa registro. La aplikaĵo ĉe la malproksima fino tenas la lastan vorton pri tio, kiujn operaciojn tiu rolo rajtas plenumi, do la ĉeno aldonas pordegon sen anstataŭigi la rajtigon de la aplikaĵo.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Du preterlasoj rompas la dezajnon silente. Se la ekstera domajno jam rekte atingas ĉiun senteman celon, la interna pordego estas laŭvola anstataŭ deviga. Se publika aŭskultanto aŭ dua privata vojo ofertas la saman aliron, la celata vojo estas unu opcio inter pluraj. Asignu ankaŭ posedanton al ĉiu regulkompleto, kaj lasu ilian kontrakton nomi celajn servojn, permesitajn fontidentecojn, privatan DNS, adresan tradukadon kaj kiu respondas, kiam la transdono malsukcesas. Adreso fidata en la ekstera reto neniam devas anstataŭi la rajtigon de la interna domajno.
Testu la rifuzajn kazojn, ne la feliĉan vojon
Sukcesa konekto tra ambaŭ pordegoj pruvas tre malmulte, ĉar tio estas la kazo, kiun ĉiuj testis dum la lanĉo. La interesaj kazoj estas tiuj, kie unu etapo pasas kaj la alia rifuzas. Tri el ili kovras plejparton de la risko, kaj ĉiu havas atendatan rezulton, kiun oni povas kontroli anstataŭ diskuti.
Kun aprobita ĝenerala aliro kaj mankanta sentema rolo, ordinara laboro devas daŭri dum la sentema celo estas rifuzata. Aprobu ambaŭ etapojn kaj la atingebla aro devus esti la prizorgaj finpunktoj nomitaj en la ŝanĝa registro, nenio pli vasta. Kun la rajtigo revokita meze de sesio, la interkonsentita sesia politiko devas ekvalidi sen disŝiri nerilatan ĝeneralan aliron. Ĉu tiu revoko finas ekzistantan sesion tuj aŭ ĉe la sekva reaŭtentigo, estas politika decido, kiun la kontrakto jam devus enhavi. Kiu skribis la akceptajn kazojn ne estas la persono, kiu devus interpreti ilin dum incidento.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Kalkulu la dependecojn, kiujn vi aldonis
Ĉiu plia etapo aldonas komponenton, kiu povas malsukcesi, kaj vojon, kiu devas ĝuste nestiĝi en la eksteran tunnelon. Dum parta malsukceso la ekstera vojo restas supre dum la interna estas neatingebla, do la uzanto vidas sanan VPN-ikonon apud servo, kiu neniam respondas.
Kontrolu la vojojn kaj la blokajn regulojn sub malsukceso, ne nur en la normala kazo. Defaŭlta vojo puŝita de la ekstera tunelo povas kapti la propran adreson de la interna pordego, kio turnas la duan etapon en konekton, kiu establiĝas kaj poste falas. Registru, kio devus resti blokita dum la interna tunelo mankas, ĉar akcidenta retroiro ĉirkaŭ ĝi estas pli malbona ol pura interrompo. Uzu la saman sondformon sur ambaŭ saltoj, por ke ĉiu estu mezurata anstataŭ supozata. Du konektitaj statindikiloj establas nek nestadon nek izolon.
Kion la dua pordego ne povas aĉeti por vi
Demandu, ĉu la du pordegoj dividas legitimilon, atestilan aŭtoritaton aŭ administran ebenon. Kie ili faras, ili ankaŭ dividas siajn plej gravajn malsukcesajn reĝimojn, kaj la dua etapo kostas pli ol la sendependecon, kiun ĝi ŝajne aldonas. Apartaj kriptografiaj sesioj ne kreas apartajn administrajn kontrolojn.
Tenu la internan pordegon dum ĝi plenumas postulon, kiun vi povas esprimi kaj testi, kiel rolo, kiun la ekstera domajno neniam kontrolas. Forigu ĝin, kiam ĝia sola tasko estas reaŭtentigi la saman identecon kontraŭ la samaj celoj. Ĉiel ajn, registru la postulon, la posedanton kaj la malsukcesan konduton kune, por ke la sekva revizio diskutu pri la postulo anstataŭ pri la diagramo.